auditpol 是什么
Windows 默认并不会把所有行为都记进安全日志：登录、账户管理、对象访问、策略变更等子类别需要逐项开启审核，没开就查不到数据。auditpol 是命令行查看与配置这些子类别的工具，支持按类别或按子类别设置成功与失败分别记录。域环境中更推荐用组策略的高级审核配置统一下发，避免逐台机器手工维护。
基本信息
| 适用平台 | Windows Vista 及以后；域控与成员机均可 |
|---|---|
| 查看语法 | auditpol /get /category:*；auditpol /get /subcategory:"登录" |
| 设置语法 | auditpol /set /subcategory:"账户管理" /success:enable /failure:enable |
| 覆盖范围 | 仅本机生效；域环境用 GPO 统一下发 |
| 常用子类别 | 登录、账户管理、详细跟踪、对象访问、策略更改 |
| 权限要求 | 管理员命令行 |
典型使用场景
- 排查前确认目标事件的审核是否已开启
- 为合规要求开启登录与账户管理审计
- 安全事件中开启详细跟踪以获取更细粒度记录
- 对比本机审核配置与基线，找出被关掉的项
- 临时加开某子类别复现问题，完成后再恢复
常用示例
常用示例
auditpol /get /category:* # 查看全部类别的审核状态
auditpol /get /subcategory:"登录" # 只看某一项
auditpol /set /subcategory:"登录" /success:enable /failure:enable # 登录成功与失败都记录
auditpol /set /subcategory:"账户管理" /success:enable /failure:enable # 账号增删改留痕
auditpol /set /subcategory:"详细跟踪" /success:enable # 需要更细粒度时临时开
auditpol /restore /file:baseline.txt # 从备份恢复审核配置
auditpol /backup /file:baseline.txt # 改动前先备份常见子类别
| 子类别 | 记录什么 | 典型用途 |
|---|---|---|
| 登录 | 登录登录/注销 | 4624、4625、4634 |
| 账户管理 | 账号与组变更 | 4720、4726、4732 |
| 详细跟踪 | 进程创建等细节 | 4688 进程审计 |
| 对象访问 | 文件与注册表访问 | 量大，慎开 |
| 策略更改 | 审核策略与安全策略变更 | 4739、4719 |
排查前先确认审核已开启再复现问题，否则花了时间却发现日志里本来就不会有记录。用 auditpol /get 一眼就能确认。
全量开启对象访问或详细跟踪会带来巨量日志与明显性能开销，日志通道很快被写满并开始覆盖旧记录，反而是取证能力的下降。按目标最小化开启。